Полное руководство TrendBlog о том, как НЕ получить взломан

В наши дни невозможно смотреть новости, не услышав о том, как хакеры взломали другую корпоративную базу данных и скрылись с конфиденциальной пользовательской информацией. Людям может показаться, что Интернет становится Диким Диким Западом, где опасность скрывается на каждом углу, и что-либо делать в Интернете небезопасно. Но, как я повторяю всем, быть в сети — это то же самое, что быть в автономном режиме — вы в безопасности, если вы принимаете надлежащие меры предосторожности и не принимаете никаких ненужных рисков.

Я имею в виду, вы бы вышли на улицу, не закрывая дверь и не закрывая окна? Будете ли вы ходить с толстой пачкой банкнот в кармане рубашки? Будете ли вы идти по темному переулку ночью в дорогой одежде и золотом Rolex? Нет конечно нет, потому что здравый смысл диктует иное. Это то же самое, что быть онлайн. Используйте свой здравый смысл, не будьте безрассудными с отношением «это никогда не случится со мной», и вы будете абсолютно в порядке.

Как НЕ получить взломанный — Предоставлено TrendBlog

Поэтому, если вы нервничаете по поводу взлома, используйте следующие варианты, чтобы уменьшить ваши шансы. С моей стороны было бы нечестно сказать, что это ГАРАНТИРУЕТ вашу безопасность от хакеров, потому что в жизни нет никаких гарантий. Но следующие предложения определенно уменьшить вероятность того, что это произойдет.

Используйте менеджер паролей

Первый урок компьютерной безопасности — ВСЕГДА хорошие пароли. К сожалению, не многие люди прислушиваются к этому совету. Они могут слышать это, но затем они говорят «Мех» и переключают свои мысли на что-то другое. Эти люди, скорее всего, будут взломаны. Те, чей пароль является одним из следующих:

• 12345
• 54321
• пароль
• wordpass
• компьютер
• Бог
• blahblah

Вы уже слышали это раньше, но это всегда стоит повторить. У вас ДОЛЖЕН быть пароль, который:

• не связан с вами каким-либо образом (имена семьи, друзей, домашних животных, ВЫ).
• имеет минимум 15 символов. 25 персонажей еще более идеальны.
• Эти символы должны быть комбинацией букв верхнего регистра, букв нижнего регистра, цифр и специальных символов (восклицательный знак, подчеркивание, скобки и т. Д.). Так 12345 абсолютно ужасно, но @ [Адрес электронной почты защищен] # абсолютно идеально!

Некоторые другие подсказки пароля:

• Меняйте пароли на ВСЕХ ваших аккаунтах каждые 30 дней, как обычно по маслу. Добавьте его в свой календарь как повторяющееся задание 1-го числа месяца. Да, это быстро станет болью в заднице, но какая боль больше? Смена паролей или взлом? Не торопитесь и подумайте об этом. Я подожду.
• Убедитесь, что (если он поддерживается в онлайн-аккаунте), вы сразу же получите уведомление по электронной почте или SMS (желательно и то и другое) об изменении пароля. Все основные почтовые службы предлагают это, а также сайты социальных сетей и Paypal.
• НЕ используйте один и тот же пароль для нескольких учетных записей. Если хакер получает один пароль, и вы используете его для всего, он потенциально может получить доступ ко всем вашим сайтам. По той же логике используйте несколько адресов электронной почты и несколько имен пользователей, чтобы хакеры не могли найти вас в Google и узнать другие ваши присутствия в Интернете.
• В опциях восстановления пароля поставьте поддельные ответы на вопросы восстановления. Когда Сара Пэйлин баллотировалась на пост вице-президента США в 2008 году, ее личная учетная запись электронной почты в Yahoo была взломана после того, как хакер получил доступ к вопросам восстановления. Он получил ответы, проверив страницу Пэйлин в Википедии. Так что делайте фальшивые ответы (и, очевидно, помните их!). Знаменитый бывший хакер Кевин Митник предполагает, что в ответ на вопрос «где ты родился?» Можно сказать «в больнице». Или «каков был ваш первый адрес?», Ответ может быть «хороший большой дом». Другими словами, будьте креативны. Если вы ДОЛЖНЫ использовать реальные ответы, на вашем сайте или в социальных сетях НИЧЕГО не может быть, чтобы угадать ответы.

Главное, что нужно помнить, это использовать менеджер паролей. Я только что сказал вам, что вы не должны использовать один и тот же пароль более одного раза и что @ [Адрес электронной почты защищен] #это действительно круто. Но теперь вы думаете: «Как я должен помнить пароль, как ТО ?! 12345 НАМНОГО легче запомнить! ». Решение состоит в том, чтобы использовать менеджер паролей.

Если вы не знакомы с ними, менеджер паролей — это зашифрованная база данных, защищенная мастер-паролем. который невосстановим. Так что, если вы забудете мастер-пароль, вы потеряете много. Главный пароль должен быть очень сложным для кого-то другого (и, очевидно, никому не сообщайте пароль).

Помните, это онлайн-эквивалент вашего ключа от входной двери. Поставьте на него простой замок, и кто-то может сделать онлайн-аналог, чтобы пнуть дверь. Не делайте простых замков. Сделать эту дверь чугунной и невозможно сломать.

Есть довольно много менеджеров паролей там. Кажется, все сходят с ума от LastPass, но, честно говоря, это не совсем меня удивило, когда я попробовал. Я предпочитаю KeePass. Это бесплатно (всегда хорошо в моей книге), просто в использовании (даже лучше), и это с открытым исходным кодом (так что исходный код может быть свободно проверен).

Я помещаю базу данных KeePass в папку Dropbox, чтобы любые изменения автоматически синхронизировались на всех моих компьютерах, смартфонах и планшетах. Существует также портативная версия для Windows, поэтому вы можете носить ее с собой на USB-накопителе. Для Mac, Linux, Android и iOS существуют различные версии KeePass, которые совместимы друг с другом. Программа, которую я использую, называется KeePassX (по сути одно и то же). Вы можете увидеть полный список версий KeePass по собираюсь сюда.

Используйте двухфакторное приложение для аутентификации, а не SMS-сообщения с PIN-кодами

Помимо паршивого пароля, вам также необходимо включить двухфакторную аутентификацию, также известную как двухэтапная аутентификация или многофакторная аутентификация (если веб-сайт поддерживает это — все больше и больше попадают на борт). Все основные почтовые сервисы на борту, а также такие громкие имена, как Facebook, Twitter, Paypal, LinkedIn, WordPress и другие. Вы даже можете добавить его на свою страницу входа на сайт WordPress (см. страница входа на мой сайт чтобы увидеть окно Google Authenticator).

Двухфакторная аутентификация не используется таким количеством людей, так как существует ошибочное впечатление, что она «слишком техническая». Но его очень просто использовать (я скоро напишу отдельную статью на эту тему). Проще говоря, 2FA — это второй уровень защиты, второй пароль, если хотите. После того как вы введете свой обычный пароль, 2FA гарантирует, что потребуется второй уровень авторизации, прежде чем будет предоставлен доступ к учетной записи.

Это может принять форму многих вещей. Обычный метод — это приложение-аутентификатор, такое как Google Authenticator (есть и другие, но, естественно, подозрительно, я им не доверяю). Вы также можете попросить веб-сайт отправить SMS на ваш телефон или использовать ключ безопасности U2F (это тот, который я использую). Мне нравится ключ безопасности, и метод SMS-сообщения прекрасно в крайнем случае.

Я не рекомендовал бы вариант SMS-сообщения как вариант по умолчанию. Просто потому, что некоторые хакеры могут подделать номер вашего мобильного телефона и перехватить SMS-сообщение. Я признаю, что не слишком много знал об этом, но многие эксперты по безопасности обычно признавали, что коды SMS небезопасны. Вы можете в определенной степени снизить риск, не публикуя номер своего мобильного телефона в Интернете.

Итак, вернемся к приложению аутентификатора. Я расскажу об этом более подробно в моей статье о двухфакторной аутентификации, надеюсь, позже на этой неделе, но достаточно сказать, что здесь есть ссылка на Android а также IOS, и на веб-сайте, для которого вы хотите включить его, перейдите в настройки и найдите параметр 2FA (опять же, при условии, что они его поддерживают). Моя следующая статья будет более детально описана на эту тему.

А пока вот хороший человек из Google объясняет вам это (хотя, будучи 6-летним, это довольно устарело).

Использовать виртуальную частную сеть или принудительно шифровать все URL

Я делаю правилом никогда не использовать открытые общедоступные сети Wi-Fi. Мне нравится бесплатно так же, как и следующему человеку, но иногда это не так хорошо. В случае с Wi-Fi это означает, что некоторые довольно коварные люди используют «сниффинг» программное обеспечение для отслеживания незашифрованного трафика на предмет имен пользователей и паролей.

Lifehacker имеет превосходное краткое изложение на эту тему. Я ненавижу ссылаться на конкурента, но я вообще не эксперт в этой теме, но вам НЕОБХОДИМО знать основы того, как работает анализ сетевого трафика. Но прежде чем вы начнете паниковать о том, как вы использовали Wi-Fi Starbucks сегодня утром для проверки своей электронной почты, позвольте мне указать два метода, которые вы можете использовать, чтобы победить сетевые анализаторы.

Во-первых, использовать расширение для браузера, разработанное Фондом Electronic Frontier, которое называется HTTPS везде. Он доступен для Firefox, Chrome, Opera и Android. Как видно из названия, он заставляет все сайты, которые вы посещаете, перейти на зашифрованную версию HTTPS. Это делает невозможным для сетевого анализатора просматривать данные для входа в систему, которые вы вводите на сайт, а также финансовую информацию, такую ​​как данные кредитной карты.

Чтобы обеспечить себе еще большую конфиденциальность, используйте Виртуальная частная сеть (о котором мы также расскажем более подробно в следующей статье). Это скрывает ваш IP-адрес и перенаправляет весь ваш веб-трафик через серверы VPN-компании. Вы можете сделать так, как будто вы находитесь в другой стране, и компания VPN не ведет никаких пользовательских журналов, чтобы гарантировать вашу конфиденциальность.

В результате, если хакеру не удастся получить ваш IP-адрес, ему будет очень трудно взломать ваш компьютер.

Есть много VPN-сервисов, некоторые хорошие, некоторые плохие (и мы сравним их в следующей статье). Но здесь, в Trendblog, мы настоятельно рекомендуем Tunnelbear за его простоту использования. Существует бесплатная версия, но вы серьезно ограничены в пропускной способности. Оплата 5 долларов в месяц снимает все ограничения.

Настройте брандмауэр, Virus Checker, Проверка на вредоносное ПО

Чтобы снова использовать метафору дома, теперь, когда у вас установлена ​​чугунная неприступная дверь, как насчет строительства очень высокой стены вокруг дома? Эта высокая стена поможет удержать злоумышленников. Ну, онлайн-эквивалент этой высокой стены — это брандмауэр.

Начать настройку брандмауэров может быть довольно сложно, так как весь входящий и исходящий веб-трафик останавливается, и вы должны установить «правила» для каждого из них. Но в конечном итоге это того стоит. У пользователей MacOS в системе автоматически установлен брандмауэр (перейдите в раздел «Безопасность» в «Настройках» и включите его), и его легко использовать. Для пользователей Windows есть также встроенный, но, похоже, у него плохая репутация. Две лучшие альтернативы Comodo а также ZoneAlarm.

И я не могу подчеркнуть достаточно — сканировать свой компьютер постоянно (раз в день идеально), и всегда делаю полное сканирование (не версия для быстрого запуска). И убедитесь, что программы всегда обновлены. Компании по обеспечению безопасности, стоящие за этими программами, ВСЕГДА выпускают новые обновления определений вирусов.

Чтобы убедиться, что хакер еще не внедрил вирус в вашу систему, вы также должны постоянно проверять наличие вирусов и вредоносных программ. Для этого хороший антивирусный сканер AVG и хороший сканер вредоносных программ Malwarebytes.

Проверьте URL Файлы, прежде чем нажать на них

Когда в прошлом году электронные письма кампании Хилари Клинтон были взломаны вместе с сообщениями Демократической партии, оказалось, что они получили доступ к электронным письмам, когда менеджер кампании Клинтона, Джон Подеста, был одурачен фишинг-атакой (произносится как «рыбалка»). Это когда кто-то обманут, думая, что электронное письмо является подлинным, хотя на самом деле это не так.

Сколько электронных писем в настоящее время находится в вашей папке со спамом, утверждая, что они из eBay, Paypal или Amazon? Все они попытаются выглядеть как настоящие электронные письма из этих мест, и они ВСЕ сообщат вам, что ваши данные были взломаны, что требует сброса пароля. А так как они такие полезные люди, вот ссылка для сброса пароля, по которой вы можете нажать.

Но в этом-то и дело. Подеста упала на старый трюк сброса пароля. Мало ли он знал, что он только что изменил пароль не на реальном сайте почтовой службы, но на хакерской версии сайта. Теперь у хакеров был новый пароль. Теперь они могут войти и прочитать все его электронные письма (и скачать их) на досуге. Остальное уже история.

Итак, несколько советов здесь:

• Ни при каких обстоятельствах не нажимайте на ссылки внутри электронных писем. Особенно те, которые спрашивают ваш пароль. Если вы сомневаетесь, откройте браузер, перейдите непосредственно на веб-сайт, введя имя веб-сайта и войдите в систему таким образом. Не думайте, что электронное письмо безопасно, даже если оно пришло от друга. Их адрес электронной почты мог быть подделан кем-то еще.
• Не нажимайте на короткие URL-адреса (например, TinyURL а также Goo.gl), так как вы понятия не имеете, куда ведут эти ссылки. Если вам нужно нажать на одну из этих ссылок, запустите ее через Расширитель URL первый. Он скажет вам реальное назначение ссылки.
• Прежде чем щелкнуть ссылку, наведите на нее курсор мыши, затем посмотрите в нижнем левом углу браузера, где отображается ссылка. Совпадают ли оба URL-адреса?

То же самое касается файлов. Вы должны быть очень осторожны с загрузкой чего-либо, так как внутри файла может быть вирус.

• Быть дополнительный Осторожнее с файлами в формате exe, zip, rar, iso или чем-либо, что является сценарием операционной системы. Но другие форматы не застрахованы. Можно, например, скрыть вирус в файле изображения JPG.
• Убедитесь, что «автозапуск» отключен в Windows, чтобы не допустить автоматического запуска вирусов с USB-накопителя.
• Если вам абсолютно необходимо скачать файл, запустите его через VirusTotal первый. Это сканирует файлы в режиме онлайн, без необходимости сначала загружать их, используя несколько антивирусных служб. Он также проверяет URL-адреса. Вы можете загружать уже загруженные файлы, сканировать не загруженные, указав URL-адрес, или отправить подозрительный файл по электронной почте. Процесс становится еще проще благодаря использованию расширений браузера, поэтому вы можете просто щелкнуть правой кнопкой мыши ссылку на файл.

Выключить все неактивные Ненужные онлайн-аккаунты

Как я уже говорил в разделе паролей, как только хакер получит ваши регистрационные данные для одного сайта, он начнет видеть, на каких других сайтах вы находитесь, чтобы увидеть, работают ли там те же данные для входа в систему. Помимо того, что вы не можете повторно использовать пароли, вы также должны закрыть все учетные записи, которые вам больше не нужны. Это снизит вероятность того, что хакер получит доступ к любой вашей конфиденциальной информации в неактивной учетной записи.

Во многих местах крайне сложно закрыть учетную запись, в некоторых даже невозможно (Account Killer могу сказать вам степень сложности). Но большинство предоставляют способ закрыть аккаунт. Просто зайдите в настройки и получите root права.

Заключение

Как я уже говорил, приведенные выше советы не гарантируют, что вас никогда не взломают, но они затрудняют доступ преступников к преступникам. Но есть школа мысли, которая говорит, что если вы не знаменитая личность, ваши шансы на то, чтобы вас взломали, в любом случае невелики. Если это правда, почему было 49 005 незаконных попыток проникнуть на мой сайт WordPress?

Какие меры безопасности вы принимаете, чтобы уменьшить вероятность взлома? Дайте нам знать об этом в комментариях.